Pando Rings预言机攻击者再次现身，将ETH转入Tornado Cash

区块链文库报道：

与2022年Pando Rings预言机攻击相关的钱包，在沉寂两个月后，于8月18日重新激活。黑客通过CoW Protocol将300万枚DAI兑换为约1570枚ETH，价值约300万美元。已知其中约800枚ETH（价值约152万美元）已通过该钱包的八笔交易流入Tornado Cash。

尽管此次行动本身规模相对较小，但事件的历史背景却非同寻常。在近四年前那场利用价格预言机操纵盗取Pando Rings资金的攻击事件之后，这名欺诈者仍在持续转移资金，而这些资金仍可追溯至最初的欺诈行为。

预言机操纵曾是DeFi领域造成损失的重要原因，但由于协议开发方面的改进，此类事件已不再频繁发生。

误读自身抵押品的预言机

2022年11月5日，Pando Rings遭到攻击。黑客成功篡改了Pando自动做市商4swap上sBTC-WBTC流动性提供者代币的价格，并利用这一价格操纵手段试图提取价值7000万美元的加密资产。在团队采取行动时，价值约2190万美元的ETH、EOS和BTC已从黑客控制的两个Mixin钱包中流出。

部分资产并未损失。Pando与Mixin Network及网络安全公司SlowMist合作，锁定了其余资金。被冻结的资产包括2,022,662枚EOS（价值约236万美元），以及其他总估值超过5000万美元的代币。

该公司暂停了Pando Rings、4swap、Pando Leaf和Pando Lake等服务，直至预言机修复，并承诺对所有客户进行赔偿。

从抄底到混币器

自那以后，同一地址曾多次间歇性出现。据一份6月6日发布的报告，同一人进行了一笔交易，用1000万枚DAI以平均价格1602美元购买了总计6243枚ETH。报告还提到，“连黑客都在抄底ETH。”

此次购买以及本周的兑换显示了一种常见策略：在适当时机将窃取的稳定币兑换为以太币，然后等待最佳时机进行转移。8月18日的变化在于最终目的地。

犯罪分子不再持有以太币，而是开始通过Tornado Cash发送以太币——这是一种用于隐藏存入与取出资金之间关联的服务。截至目前，混币器存款总额为800枚以太币，分八笔交易完成。

为何混币后的资金仍可追踪

即使某人通过Tornado Cash发送资金，也不意味着线索会消失。今年6月，TRM Labs追踪了一起攻击事件，其中某人从Tornado Cash提取了约664枚ETH，并借此控制了名为TOP的小型以太坊协议项目。此案例表明，即使直接交易线索难以追踪，混币器操作仍可能暴露风险。

Tornado Cash的法律地位已发生变化。尽管在2022年8月被美国财政部制裁，但由于联邦上诉法院裁定不可变智能合约不能归类为受制裁立法约束的“财产”，该服务于2025年3月21日被移出制裁名单。其作为以太坊混币器的用途意味着，通过该协议进行的大额转账会引发关注，而非悄无声息地消失。

协议逐步关闭，攻击者却在转移资金

时机颇为微妙。就在该钱包活动的前三天，Pando于8月15日宣布将停止协议运行，并将其DeFi产品置于Mixin监管下的维护模式。目前，Pando Rings仅用于支持贷款偿还和抵押品提取。

与此同时，像Pando这样的事件已不再常见。Immunefi的六年损失分析发现，闪电贷预言机操纵等生态系统类攻击，在DeFi损失事件中的占比已从2022年的近19%降至2025年的不到1%。因此，Pando事件的攻击者已成为DeFi安全旧时代的遗留者，仍在从整个行业已能通过区块链技术规避的漏洞中获利。

更广泛的安全视角

Pando于8月15日宣布协议停运的时机，与攻击者重新活跃的迹象值得一并审视。这并非简单的2022年旧攻击重现，而是展示了DeFi攻击的长期影响：被盗资产可能沉寂数年，待市场条件、流动性或洗钱渠道变化时再度活跃。

时间线

2022年11月5日：Pando Rings被攻击。Pando表示已暂停Pando Rings及其他服务，并与SlowMist合作追踪被盗资金。

2026年6月：关联攻击者钱包重新出现，将1000万枚DAI兑换为6243枚ETH。

2026年6月至8月：该钱包随后保持相对沉寂。

2026年8月18日：钱包将300万枚DAI兑换为约1570枚ETH，随后将800枚ETH发送至Tornado Cash。

2026年8月15日：Pando宣布协议停运及服务过渡，这一时间点可能与攻击者行动时机相关。

这些交易表明，被盗加密货币可能在转换、整合或通过隐私基础设施转移前，长期处于休眠状态。这正是一条防御方值得追踪的路径。